Capítulo 31 — Infraestrutura crítica e segurança setorial: implementação II
Mapa da aula
Aula 31 publicada. Mapa, exemplo, EX061.
flowchart TD
N0["31.1 Implantação em etapas"]
N1["31.2 Gestão de chaves e segredos em produção"]
N2["31.3 Integração de legados"]
N3["31.4 Comissionamento e passagem aos operadores"]
N4["31.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX061"]
Desenho lógico
flowchart LR
N0["31.1 Implantação em etapas"]
N1["31.2 Gestão de chaves e segredos em produção"]
N2["31.3 Integração de legados"]
N3["31.4 Comissionamento e passagem aos operadores"]
N4["31.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX061"]
[31.1 Implantação em etapas]
|
v
[31.2 Gestão de chaves e segredos em produção]
|
v
[31.3 Integração de legados]
|
v
[31.4 Comissionamento e passagem aos operadores]
|
v
[31.6 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX061]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) implantar controles em ambientes operacionais por meio de uma implantação em etapas com reversão; (2) gerenciar chaves, configuração e segredos em produção; (3) integrar equipamentos legados por meio de gateways e controles compensatórios; e (4) comissionar um controle com testes de aceitação e passagem aos operadores. Ele leva a implementação de bancada do Capítulo 28 para o campo e prepara os capítulos 32 a 34.
31.1 Implantação em etapas
A implantação em campo segue etapas, cada uma com critérios de entrada e saída: bancada (todos os testes aprovados); local piloto de baixa consequência; um local de alta consequência, com monitoramento extra e um plano de reversão; frota. Cada etapa tem uma reversão — a capacidade de voltar rapidamente ao estado anterior conhecido como bom — testada antes de ser necessária. Programe as mudanças fora dos picos de demanda e com os operadores informados; no setor de água, evite mudanças durante períodos de alta demanda ou quando o armazenamento estiver baixo. As etapas do TMRP são a bancada, a PS2 como piloto de baixa consequência, a PS4 como primeiro local de alta consequência e depois a frota.
31.2 Gestão de chaves e segredos em produção
Na bancada, as chaves são arquivos; em produção, são ciclos de vida. Gere as chaves em módulos de segurança de hardware ou nos elementos seguros dos dispositivos; cadastre os dispositivos numa cerimônia auditável (duas pessoas, registrada em log); armazene o inventário de qual chave pertence a qual dispositivo e sua data de rotação; faça a rotação; e revogue prontamente quando um dispositivo for perdido ou desativado. Os segredos das contas de serviço vão para um cofre com registro de acessos, e não para scripts. Um inventário de chaves é, ele próprio, sensível. No TMRP, as chaves são geradas no elemento seguro do gateway no cadastro.
31.3 Integração de legados
Dispositivos legados que não conseguem se autenticar são encapsulados: um gateway colocado fisicamente ao lado (no mesmo gabinete) acrescenta autenticação do lado da rede e fala o protocolo legado num enlace curto e fisicamente protegido. O gateway passa a fazer parte da fronteira de segurança do dispositivo, então precisa de seu próprio endurecimento, monitoramento e caminho de atualização. Controles compensatórios cobrem o que o gateway não consegue: alarmes de violação do gabinete, registro local em log e restrições sobre quais códigos de função passam. Na PS2, o gateway fica no gabinete da RTU, num enlace serial de 30 cm, e deixa passar apenas dois códigos de função.
31.4 Comissionamento e passagem aos operadores
O comissionamento verifica o sistema instalado em seu ambiente real: os testes de aceitação em campo repetem no local os principais testes de bancada (a autenticação rejeita quadros forjados; a repetição é rejeitada; o failover para o modo automático local funciona; os alarmes chegam à sala de controle em até 60 s). A passagem dá aos operadores procedimentos, treinamento, contatos e as limitações conhecidas. Até que os operadores consigam operar e recuperar o sistema, o controle não está em serviço. Na PS2, a aceitação em campo também encontrou a deriva do relógio do gateway, que foi corrigida e testada de novo antes da passagem. Os operadores foram treinados primeiro.
31.5 Exemplo resolvido: piloto da PS2 (sintético)
O local piloto do TMRP é a PS2 — RTU-A legada, baixa consequência. Critérios de entrada: T1, T2, T3 (v2) e T5 aprovados na bancada; imagem de reversão pronta; operadores informados. O gateway é instalado no gabinete da RTU; o enlace serial tem 30 cm dentro do gabinete trancado; o gateway deixa passar apenas os códigos de função 3 (leitura) e 6 (escrita de um único registrador) para a faixa de registradores configurada. Aceitação em campo: quadros forjados e repetidos rejeitados e alarmados; retirar a antena LTE resulta em operação automática local e num alarme de perda de comunicação em até 60 s; recolocar a antena retoma a telemetria com os contadores continuando. Uma constatação: o relógio do gateway derivou 40 s em 48 h porque o NTP não era alcançável pelo novo conduto; corrigido acrescentando uma fonte de tempo interna à lista de permissões do conduto. Critérios de saída atendidos após o novo teste; a PS4 é a próxima.
31.6 Atividade prática
Escreva o plano de etapas para a implantação do TMRP na frota, com critérios de entrada e saída e reversão para cada etapa, e uma nota de passagem de duas páginas para os operadores do gateway. Use o piloto da PS2 como modelo para os critérios de entrada e saída e depois estenda o plano à PS4 e às demais estações. Para cada etapa, diga como a reversão é feita e quem decide usá-la. Na nota de passagem, informe aos operadores os alarmes que o gateway gera, o que cada um significa, como passar para a operação manual local e a quem chamar. Liste com franqueza as limitações conhecidas, como a dependência de uma fonte de tempo interna aprendida na PS2.
31.7 Erros comuns e limites
- Implantação "big bang", sem piloto nem reversão.
- Planos de reversão nunca testados.
- Cadastro de chaves por uma única pessoa, sem registros.
- Gateways tratados como transparentes, e não como dispositivos críticos para a segurança.
- Comissionamento sem os operadores; passagem sem as limitações conhecidas.
O piloto da PS2 do TMRP evitou esses erros: tinha uma imagem de reversão, os operadores foram informados antes da instalação, e a constatação da deriva do relógio foi tratada como uma correção de interface e testada de novo antes do início da PS4. O cadastro de chaves segue a cerimônia de duas pessoas, registrada em log, descrita acima, e o gateway foi tratado como um dispositivo crítico para a segurança, com seu próprio endurecimento e caminho de atualização.
Exercícios — capítulo 31
EX061 — Critérios de reversão. Objetivo: definir quando reverter. Entradas: implantação na PS4. Passos: defina três gatilhos de reversão mensuráveis, quem decide e o tempo máximo para concluir a reversão. Evidência esperada: lista. Rubrica: 3 = gatilhos mensuráveis (p. ex., perda de telemetria > 5 min não explicada pela perda do enlace, qualquer mensagem aceita que falhe na auditoria, latência de alarme > 60 s para alarmes prioritários), dono da decisão nomeado pelo papel, tempo de reversão coerente com a reserva do hospital; 2 = gatilhos vagos; 1 = sem dono; 0 = nada.
EX062 — O gateway como fronteira. Objetivo: proteger um encapsulador de legado. Entradas: o gateway da PS2. Passos: liste seis controles de que o próprio gateway precisa e o risco residual se um atacante obtiver acesso físico ao gabinete. Evidência esperada: lista e declaração do residual. Rubrica: 3 = endurecimento, atualizações assinadas, proteção das chaves, filtragem de códigos de função, detecção de violação, registro em log; residual honesto (um atacante físico pode contornar pelo enlace serial); 2 = residual ausente; 1 = genérico; 0 = nada.
Síntese do capítulo
Implante em etapas, com critérios de entrada e saída e reversão testada. Gerencie chaves e segredos como ciclos de vida, com cerimônias auditáveis. Encapsule dispositivos legados com gateways que sejam, eles próprios, tratados como críticos para a segurança, mais controles físicos compensatórios. Um controle só está em serviço depois da aceitação em campo e da passagem aos operadores.
Continue estudando — capítulo 31 de 50
← Capítulo 30 · Índice de capítulos do curso · Capítulo 32 →
Siga para a próxima lição escrita.